Aktualisiert am: 18.09.2026

Datenschutzvorfall: Meldepflicht, 72-Stunden-Frist und Ablaufplan nach Art. 33 und 34 DSGVO

Ein Datenschutzvorfall – die DSGVO spricht von einer Verletzung des Schutzes personenbezogener Daten, kurz Datenpanne – liegt vor, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig vernichtet, verloren, verändert, offengelegt oder zugänglich gemacht werden. Das reicht von der E-Mail an den falschen Empfänger über den verlorenen Laptop und den offenen Aktenordner im Flur bis zum Ransomware-Angriff. Entscheidend ist nicht der böse Wille, sondern die Folge: Ein Versehen ist genauso ein Vorfall wie ein Angriff.

Meldepflichten: Art. 33 und 34 DSGVO

Meldung an die Aufsichtsbehörde (Art. 33): unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden – es sei denn, der Vorfall führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Die Frist läuft auch am Wochenende. Wer sie überschreitet, muss die Verzögerung begründen; fehlende Informationen dürfen nachgereicht werden. Inhalt: Art des Vorfalls, betroffene Personen und Datensätze, wahrscheinliche Folgen, ergriffene Maßnahmen, Kontakt des Datenschutzbeauftragten.
Benachrichtigung der Betroffenen (Art. 34): unverzüglich, wenn der Vorfall voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten hat – etwa bei Gesundheitsdaten, Zugangsdaten oder Kontodaten. Entbehrlich, wenn die Daten wirksam verschlüsselt waren oder das Risiko durch Maßnahmen beseitigt wurde.
Auftragsverarbeiter (Art. 33 Abs. 2): melden dem Verantwortlichen unverzüglich – die Frist von 72 Stunden gilt für diesen, deshalb sollte der AV-Vertrag eine kürzere Frist für den Dienstleister vorsehen.
Dokumentation (Art. 33 Abs. 5): jeder Vorfall wird intern dokumentiert, auch wenn keine Meldung erfolgt – mit Sachverhalt, Bewertung, Begründung der Entscheidung und Maßnahmen. Das prüft die Aufsichtsbehörde bei einer Kontrolle.

Für Verstöße gegen die Meldepflicht drohen Bußgelder nach Art. 83 Abs. 4 – unabhängig vom Vorfall selbst. Siehe auch Meldepflicht bei Datenschutzverletzungen.

Ablaufplan: die ersten 72 Stunden

Erkennen und melden (Stunde 0): Jede beschäftigte Person meldet einen Verdacht sofort an die festgelegte Stelle – Geschäftsführung, IT und Datenschutzbeauftragten. Die Frist beginnt mit dem Bekanntwerden im Unternehmen, nicht erst beim DSB.
Eindämmen: Zugänge sperren, Systeme isolieren, Fehlversand zurückrufen, Datenträger orten – ohne Beweise zu vernichten.
Sachverhalt aufklären: Welche Daten, welche Personen, wie viele, seit wann, wer hatte Zugriff, waren die Daten verschlüsselt?
Risiko bewerten: anhand von Art der Daten, Umfang, Schwere möglicher Folgen (Identitätsdiebstahl, Diskriminierung, finanzieller Schaden) und Wahrscheinlichkeit – Ergebnis: kein Risiko, Risiko oder hohes Risiko. Die Bewertung dokumentieren.
Melden (bis Stunde 72): bei Risiko Meldung an die zuständige Landesaufsichtsbehörde über deren Online-Formular; bei hohem Risiko zusätzlich Benachrichtigung der Betroffenen in klarer Sprache.
Nachbereiten: Ursache abstellen, TOMs anpassen, Beschäftigte informieren, Vorfall im Register abschließen, Lehren in die nächste Schulung aufnehmen.

Vorbereitung im Datenschutzmanagementsystem

Die 72 Stunden sind nur zu halten, wenn der Prozess vorher steht: ein dokumentierter Meldeweg, den alle Beschäftigten kennen (siehe Datenschutz-Awareness), Vertretungsregeln für Urlaub und Wochenende, ein Formular für die Erstmeldung, Bewertungskriterien, Vorlagen für die Behördenmeldung und die Betroffeneninformation, die Kontaktdaten der Aufsichtsbehörde und ein Vorfallregister. Ein Datenschutzmanagementsystem enthält diesen Prozess als festen Baustein; wer zusätzlich ein ISMS nach ISO 27001 betreibt, verbindet ihn mit dem Management von Informationssicherheitsvorfällen, denn die meisten Datenpannen sind zugleich Sicherheitsvorfälle.

Praxisbeispiel

Freitag, 17:40 Uhr: Eine Sachbearbeiterin eines Personaldienstleisters schickt eine Excel-Liste mit 340 Bewerberdaten inklusive Geburtsdaten und Gehaltsvorstellungen an einen falschen Kunden. Sie meldet den Fehler sofort per Telefon an die Bereitschaftsnummer des externen Datenschutzbeauftragten. Bis Samstagmittag ist der Empfänger erreicht, hat die Löschung schriftlich bestätigt, und die Bewertung liegt vor: Risiko für die Betroffenen, aber kein hohes, weil der Empfänger ein vertraglich gebundener Geschäftspartner ist und die Löschung bestätigt hat. Die Meldung an die Aufsichtsbehörde geht am Montag um 10 Uhr raus – 40 Stunden nach dem Vorfall –, die Betroffenen werden vorsorglich informiert. Die Behörde stellt das Verfahren ohne Maßnahmen ein; die Ursache – kein Vier-Augen-Prinzip beim Versand von Bewerberlisten – wird durch eine Freigabe im System behoben.

Häufige Fragen zum Datenschutzvorfall

Muss jeder Datenschutzvorfall gemeldet werden?

Nein. Die Meldung an die Aufsichtsbehörde entfällt, wenn der Vorfall voraussichtlich nicht zu einem Risiko für die Betroffenen führt – etwa bei einem verlorenen, wirksam verschlüsselten Laptop. Dokumentiert werden muss aber jeder Vorfall, einschließlich der Begründung, warum nicht gemeldet wurde. Bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen.

Ab wann läuft die 72-Stunden-Frist?

Ab dem Zeitpunkt, an dem der Verantwortliche vom Vorfall Kenntnis erlangt hat – also sobald eine zuständige Person im Unternehmen mit hinreichender Sicherheit weiß, dass personenbezogene Daten betroffen sind. Interne Verzögerungen, etwa weil die Meldung erst nach dem Wochenende beim Datenschutzbeauftragten ankommt, verlängern die Frist nicht.

Was ist der Unterschied zwischen Datenschutzvorfall und Sicherheitsvorfall?

Ein Sicherheitsvorfall beeinträchtigt die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen jeder Art. Ein Datenschutzvorfall ist ein Sicherheitsvorfall, bei dem personenbezogene Daten betroffen sind – dann greifen die Meldepflichten der DSGVO. Ein Angriff auf Konstruktionsdaten ist ein Sicherheitsvorfall, aber kein Datenschutzvorfall.